Windows の権限管理ソリューションに注力するソフトウェア開発会社 BeyondTrust の新しい調査では、Windows 7 に切り替えた組織に関する興味深い結果が発表されています。重要な発見としては、標準ユーザーに管理者権限での実行を許可しないだけで、Windows 7 の重大な脆弱性の 90% を軽減できるというものがあります。
Windows 7は、前身のWindows Vistaと同様に、Windows XPにはない様々なセキュリティ機能と制御を備えています。システムカーネルへのアクセス制御の強化、DEP（データ実行防止）、ASLR（アドレス空間レイアウトのランダム化）、MIL（強制整合性レベル）といった機能があります。
これらのセキュリティ対策はどれも、単体では万能の防御策にはなりません。しかし、ASLRをDEPなどの他のセキュリティ機能やUAC（ユーザーアカウント制御）のセキュリティ機能と組み合わせることで、Windows 7（およびWindows Vista）は、Windows XPなどの以前のオペレーティングシステムでも有効な多くの脅威から自身を防御することができます。
ただし、「より安全」と「侵入されない」を混同しないでください。先日開催されたCanSecWest Pwn2Ownコンテストでは、セキュリティ研究者がASLRとDEPのセキュリティ対策を回避し、Internet Explorer 8の脆弱性を悪用して標的のWindows 7マシンを乗っ取ることに成功しました。
しかし、BeyondTrustの調査が示すように、たとえ攻撃者がWindows 7の防御を突破できたとしても、ユーザーが管理者として実行していないことを確認するだけで、ほとんどの悪意のあるコードの実行を阻止できます。これは、悪意のあるコードは通常、ログインユーザーの権限で実行されるため、標準ユーザーとして実行することで、悪意のあるコードは標準ユーザーのコンテキストでのみ実行されるため、重要なシステム機能を攻撃することができなくなるためです。
BeyondTrustのプレスリリースでは、コーポレート開発担当EVPのスティーブ・ケリー氏が次のように述べています。「企業は、パッチが開発・展開される前に新たな脆弱性が悪用されるため、ゼロデイ攻撃の差し迫った危険に直面し続けています。私たちの調査結果は、管理者権限の制限がこの種の脅威から保護する上で重要な役割を果たすことを示しています。企業がWindows 7に移行する際には、新しいオペレーティングシステムでセキュリティ機能が強化されているにもかかわらず、適切な保護を提供するには管理者権限のより適切な制御が依然として必要であることを認識する必要があります。」
BeyondTrust の調査では、管理者権限を削除すると、Internet Explorer のすべての脆弱性の 94% (Internet Explorer 8 では 100%)、Microsoft Office のすべての脆弱性の 100%、および 2009 年に報告された Microsoft のすべての脆弱性の 64% を軽減できることも判明しました。
これは、ほとんどのIT管理者にとって特に驚くべきことではありません。セキュリティ専門家は、マルウェアが存在して以来、標準ユーザーに管理者権限での実行を許可しないという原則を繰り返し主張してきました。しかし、変化があったのは、Microsoftが現場からのフィードバックに耳を傾け、従業員を標準ユーザーとして設定する際にお客様が直面する問題に対処し、それらの懸念に対処するための変更を実施したことです。
ユーザーからの反発は予想されます。特に、システムに好きなソフトウェアをインストールしたり削除したりする神のような権限を持ちたいと考える経営幹部層からの反発は避けられません。しかし、ユーザーに管理者権限を与えることで生じる、より広範な法的およびセキュリティ上の問題、そしてユーザーサポートの複雑さを別にしても、Windows 7システムを標準ユーザーとして実行するように変更するだけで、潜在的な攻撃の約3分の2を防ぐことができるのです。
この簡単な変更を 1 つ実装するだけで、より積極的かつ重要なタスクに多くの時間を費やせるようになり、夜もぐっすり眠れるようになるのではないでしょうか。
トニー・ブラッドリーは、 『Unified Communications for Dummies』の共著者です。彼のTwitterアカウントは@Tony_BradleyPCWです。Facebookページをフォローするか、[email protected]までメールでご連絡ください 。
